Je, HTTP kupitia ZeroTier imesimbwa? Angalia mahali overlay inapoishia

Pitia ukaguzi huu kwa mpangilio na usimame kwenye ule wa kwanza unaoshindikana, kwa sababu kila jibu hubadilisha maana ya hatua inayofuata. Swali la kweli ni jembamba: je, HTTP ya kawaida kwenye mtandao wa ZeroTier husafiri wazi kupitia intaneti? Kati ya peer wawili wa ZeroTier kwa kawaida hapana, kwa kuwa overlay husimba kuruka huko. Lakini hiyo ni kauli kuhusu ncha mbili, si kuhusu kila sehemu ambayo ombi hupita. Router, daraja au proksi ya kugeuza huhamisha ncha, na upande wa pili maandishi wazi huanza tena.

Ukaguzi 1: pata anwani ambayo kivinjari hupiga

Linganisha URL na kile ambacho mashine inacho kweli. ip -brief addr show huorodhesha kiolesura cha zt na anwani ya overlay iliyotolewa na kidhibiti cha mtandao; ikiwa URL inatumia anwani hiyo, soketi ya kivinjari huingia kwenye overlay.

Jina linapotatuliwa kwa anwani ya LAN badala yake, overlay inaweza kuwa haihusiki kabisa, chochote kile kiashiria cha hali ya mteja kinachodokeza. ip route get 10.147.20.5 huchapisha kiolesura na anwani ya chanzo ambayo kernel ingechagua, kwa hivyo kiolesura cha zt hapo kinamaanisha pakiti inaingia kwenye overlay na jina la NIC yako halisi linamaanisha haiingii. Majina huongeza tabaka lingine: rekodi inayoelekeza kwenye anwani ya overlay hujiendesha tofauti na ile inayoelekeza kwenye anwani ya LAN, na kiambishi cha utafutaji au ingizo la faili la hosts linaweza kuamua kwa utulivu ni ipi utakayopata.

Ukaguzi 2: thibitisha kwamba ncha zote mbili ni peer, si relay inayofungua usimbaji

ZeroTier husimba kati ya peer, na pale ambapo hakuna njia ya moja kwa moja pakiti hupitishwa kupitia mzizi unaozisambaza zikiwa bado zimesimbwa. zerotier-cli peers huweka alama kwenye njia ya kila peer kama DIRECT au RELAY pamoja na takwimu ya ucheleweshaji. Njia iliyopitishwa hugharimu mizunguko ya kwenda na kurudi, si usiri.

Kinachobadilisha jibu ni mwanachama ambaye kwa kweli si ncha. Wakati upande wa pili ni mwanachama wa ZeroTier anayerusha au kuweka daraja kwenye LAN halisi, overlay huishia kwa mwanachama huyo na kuruka kunakofuata ni Ethernet ya kawaida.

Ukaguzi 3: angalia mahali ombi linapokuwa linalosomeka

Kwenye mwenyeji unaodhani huhudumia ukurasa, nasa kiolesura cha overlay wakati unapakia upya: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'. Mstari wa ombi unaosomeka kwenye matokeo hayo huthibitisha kwamba trafiki ilifika ikiwa imefunguliwa kwenye mwenyeji huyo, na hiyo ndiyo mipaka unayoiwinda.

Kisha nasa kwenye kiolesura kinachoelekea LAN iliyobaki. Ikiwa ombi lilelile linaonekana hapo wazi, liliacha overlay kabla ya kufika kwenye programu na kila kifaa kwenye sehemu hiyo linaweza kulisoma. Ikiwa hakuna kinachoonekana upande wa LAN na ukurasa bado unapakia, programu inamalizia kwenye mwenyeji wa ZeroTier yenyewe.

Kunasa loopback pia ni muhimu wakati proksi ya kugeuza iko mbele, kwa kuwa proksi inayokubali HTTPS na kusambaza HTTP huhamisha mipaka kwenda backend yake yenyewe.

Ukaguzi 4: hesabu kila kuruka nyuma ya router au daraja

Mwanachama aliyewekwa kurusha kati ya overlay na LAN ni muundo wa kawaida na mahali ambapo mengi ya mawazo haya huvunjika. Overlay hulinda sehemu ya kivinjari hadi router na hakuna chochote baada yake. Daraja husimulia hadithi hiyo hiyo kwa utaratibu tofauti: overlay na sehemu halisi huwa kikoa kimoja cha matangazo, kwa hivyo ombi kutoka kwa kompyuta ya mkononi iliyowekwa darajani hupita Ethernet ya kawaida hata kama kompyuta hiyo iko kwenye mtandao wa ZeroTier.

Ifuatilie badala ya kudhani. traceroute kutoka kwa mteja hadi anwani ya huduma pamoja na jedwali la uelekezaji kwenye mwanachama wa lango huonyesha kama kuruka kwa mwisho ni zt au eth.

ZeroTier pia hutoa hali ya trusted-path ambayo inaweza kuacha usalama wa usafirishaji kwenye njia za ndani zilizoteuliwa kwa ajili ya utendaji. Mtandao unaoitumia haurithi dhana ya kawaida ya njia iliyosimbwa, kwa hivyo soma usanidi wa mtandao kabla ya kunukuu moja. Nyaraka za itifaki zinaeleza usimbaji kati ya peer na ubaguzi huo.

Ukaguzi 5: amua kile programu bado inapaswa kufanya

Uanachama wa overlay huthibitisha kifaa kwenye mtandao na hausemi chochote kuhusu kama huduma upande wa pili ndiyo uliyokusudia kufikia. HTTPS hujibu swali tofauti kwa kufunga jina la mwenyeji kwenye ufunguo, kwa hivyo ulinzi huu wawili hupishana bila kubadilishana. Peer iliyoidhinishwa bado inaweza kuwa huduma isiyofaa, na ncha iliyoathirika husoma ombi kabla ya usimbaji na baada ya ufunguzi. Hakuna utaratibu unaokagua kile programu inarekodi.

Kwa kitu chochote chenye kipindi kinachoweza kutumika tena au nenosiri, maliza TLS kwenye programu au kwenye proksi unayodhibiti na uache uthibitishaji wa cheti ukiwa umewashwa. Pale huduma ya zamani inapaswa kubaki kwenye HTTP ya kawaida, andika njia kamili ya mwenyeji-hadi-mwenyeji inayoweza kutumia, nani anaweza kuifikia na sehemu ipi inabaki bila ulinzi; noti hiyo ndiyo inayohitajika na mkaguzi wa baadaye.

"VPN imeunganishwa" si tathmini ya kitu chochote kati ya hivi. Toleo la uaminifu hutaja ncha zote mbili, njia kati yao na kuruka kwa kwanza ambako hakujafunikwa.

Weka matokeo ya kunasa na orodha ya peer kando ya nyaraka za huduma, ili yeyote anayebadilisha njia au kuongeza daraja aone ni dhana ipi anayokaribia kuvunja.